strongSwan EAP: د IKE هویت د تمه شوي AAA نوم په مقابل کې

د strongSwan EAP کلینټ کولی شي دوه سرور نومونه تایید کړي. remote.id د IKE دروازه او local.aaa_id د EAP سرور پوښي؛ دا یو ډګر نه دی.

د IKEv2 له لارې EAP تصدیق کولی شي له کلینټ څخه وغواړي چې په یوه اړیکه کې دوه مختلف سرور نومونه تایید کړي۔ هغه دروازه چې IKE پای ته رسوي یو هویت وړاندې کوي، او هغه EAP شاته برخه چې داخلي TLS تبادله پای ته رسوي کیدای شي بل وړاندې کړي۔ په strongSwan کې دا په جلا تنظیماتي بلاکونو کې اوسیږي، او په غلط بلاک کې نوم ایښودل داسې ناکامي رامنځته کوي چې د سند ستونزه ښکاري۔ کوم تایید چې ناکام شو لوستل هغه څه دي چې تاسو ته وایي کوم بلاک سم کړئ۔

یوه اړیکه، دوه سرور هویتونه

لومړی هویت د IKE تبادلې پورې اړه لري۔ کلینټ یوه پته غږي او تمه کوي چې مقابل لوری یو ځانګړی هویت، معمولاً د دروازې سند کې نوم، ثابت کړي۔

دوهم د EAP پورې اړه لري۔ د PEAP یا TTLS سره، کلینټ د IKE SA دننه د تصدیق سرور ته TLS تونل جوړوي، او هغه داخلي سرور خپل سند وړاندې کوي۔ کله چې شاته برخه جلا کوربه وي، نوم یې د دروازې له نوم څخه توپیر لري۔ هغه کلینټ چې یوازې لومړی نوم ګوري هر هغه څه مني چې دوهم یې ادعا کوي۔ او هغه کلینټ چې په دواړو ځایونو کې یو نوم سره تنظیم شوی وي، هغه سمدلاسه ناکام کیږي چې دا دواړه واقعاً توپیر ولري۔

دواړه نومونه د آپریټر له تنظیماتو څخه راځي، نه له هغه سند چې تېروتنه لرې کوي۔ له آپریټر څخه د ځای پرځای کولو تفصیلات پوښتل د دوو کوربه نومونو اټکل کولو څخه ګړندي دي۔

کوم ډګر کومې طبقې پورې اړه لري

په swanctl کې پته او IKE هویت جلا تنظیمات دي، او EAP هویت دریم دی۔

لرې پته ټاکي چې بنډلونه چیرته ځي، او لرې هویت وایي چې مقابل لوری باید څه ثابت کړي۔ د EAP تمه د local بلاک لاندې لیکل کیږي، ځکه چې دا د مقابل لوري د IKE چلند نه، بلکې د دې کلینټ د EAP تبادلې تشریح کوي۔ همدا ځای خلک غلط لولي۔ نوم د کلینټ په تنظیماتو کې دی خو سرور تشریح کوي، او همدې له امله د غلط ځای په توګه ښکاري۔

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

دا ټوټه بشپړه اړیکه نه ده؛ د باور توکي، اعتبارونه او د ماشوم اړیکو تګلارې باید لاهم وي۔ دا په کلمه په کلمه کاري فایل ته کاپي کول به هغه تنظیمات بدل کړي چې تاسو ته لاهم اړتیا ده۔

ولې aaa_id د local لاندې اوسيږي

د local بلاک تشریح کوي چې دا لوری د تصدیق پر مهال څه کوي، په شمول هغه طریقه چې کاروي او هغه هویت چې د هغې طریقې لپاره له بل لوري تمه کوي۔ په دې کې هیڅ نشي ویل کیدای چې AAA سرور په هماغه ماشین کې ځي۔

تلواله ارزښت دام تیزوي۔ کله چې روښانه ارزښت نه وي ټاکل شوی، تمه شوی AAA هویت لرې هویت تعقیبوي، نو یو نوم لرونکې ځای پرځای کول کار کوي او توپیر پټوي۔ روښانه ارزښت یوازې هغه وخت مهم دی چې د EAP ځای پرځای کول واقعاً بل چیرې پای ته ورسیږي۔ په بل نوم یې ټاکل پرته له دې دلیل داسې ناکامي رامنځته کوي چې آپریټر یې بیا نشي جوړولی۔ د دوهم نوم له جوړولو مخکې ځای پرځای کول ولولئ۔

ارزښت د هغه څه سره ورته وساتئ چې د شاته برخې سند واقعاً ادعا کوي، په شمول د نوم بڼه۔ په پای کې ټکی یا د کوربه نه پوښونکی وحشي نښه د ګړندي ناکامۍ لپاره کافي ده۔

هغه مخکیني برخې چې جلاوالی نشي څرګندولی

د NetworkManager پروفایل د swanctl په څیر هماغه تنظیماتي برخه نه ده۔ تر شا پلگ ان د هویت کنټرولونو یوه تنګه ټولګه ښیي، او کوم یې شته دی دا د نصب شوي نسخې پورې اړه لري۔

دا هغه وخت مهم دی چې ځای پرځای کول واقعاً دوه نومونه غواړي۔ د سرور هویت په توګه نښه شوی ډګر کیدای شي یوه طبقه تنظیم کړي نه بله، نو پروفایل سم ښکاري او بیا هم داخلي ګڼنه کې ناکام کیږي۔ د دې فرض کولو دمخه چې پروفایل دا ترتیب څرګندولی شي، وګورئ چې نصب شوی پلگ ان څه ملاتړ کوي۔ که نشي، انتخاب د آپریټر دی: بله چمتو کولو لاره، یا سم شوی د سرور هویت ډیزاین۔ PEAP کمزوری کول یا هر نوم منل د تصدیق تګلاره سمولو پرځای بدلوي۔

بدیل په کلینټ کې د جوړولو څه نه دي۔ ملاتړ شوی ترتیب په لیکلي ډول وغواړئ، بیا هغه ځواب د پروفایل سره وساتئ۔

د هویت ناسم والی له پای ته رسیدلي سند څخه جلا کړئ

د نوم ناسم والی او پای ته رسیدلی سند جلا ناکامۍ دي، او لاګ دوی جلا کوي۔ کوم ډګر بدل کړئ دا فیصله کولو مخکې پیغام ولولئ۔

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

د پام وړ AAA هویت ټاکل سند نه تازه کوي او نه د هغې د صادروونکي باور جوړوي، او د سند تازه کول غلط تمه شوی نوم نه سم کوي۔ د بل هویت ډګر له سمولو مخکې ولولئ چې کوم تایید ناکام شو۔ بیا تنظیمات بیا بار کړئ او تایید کړئ چې بار شوې اړیکه هغه ارزښت ښیي چې تاسو ټاکلی، ځکه هغه سم شوی فایل چې هیڅکله نه بار شوی هیڅ نه بدلوي۔ دواړه نومونه او د هغوی طبقې د ځای پرځای کولو یادښتونو کې ولیکئ۔

اړوندې مقالې